Internet se basa en la confianza. Cuando un usuario web visita un sitio web, asume que los botones que pulsa realizan las acciones indicadas. Sin embargo, los ciberdelincuentes desarrollan constantemente métodos para explotar esta confianza. Uno de estos métodos engañosos es el ataque de clickjacking.
El clickjacking ocurre cuando un atacante engaña a un usuario para que haga clic en algo diferente de lo que el usuario pretendía hacer clic.
Al superponer una capa transparente o un iframe invisible sobre una página legítima, los hackers pueden secuestrar los clics destinados a un botón falso o un enlace inofensivo. Esto puede tener consecuencias graves, como la descarga de malware, la transferencia de fondos o dar "me gusta" a una página de redes sociales sin saberlo.
Si tienes un sitio web, comprender esta amenaza es crucial. Esta guía explica la mecánica de esta técnica de corrección de la interfaz de usuario, cómo detectar vulnerabilidadesy los pasos específicos para proteger tu sitio de WordPress mediante el encabezado X-Frame-Options y la Política de Seguridad de Contenido (CSP).
Comprender los ataques de clickjacking: los riesgos de la corrección de la interfaz de usuario
El término «clickjacking» es una combinación de «clic» y «secuestro». En el ámbito de la seguridad, se conoce formalmente como un ataque de corrección de la interfaz de usuario.
Este nombre describe perfectamente el mecanismo: el atacante cambia la interfaz de usuario (UI) para ocultar el sitio web de destino real.
En un ataque estándar de clickjacking, el atacante crea una página maliciosa. Esta página carga una página específica, generalmente una página sensible como el inicio de sesión de un banco o un panel de configuración, dentro de un iframe.
El atacante configura el iframe para que sea completamente transparente. Luego, coloca su propio contenido visible, como un reproductor de video o una solicitud de un premio gratuito, directamente debajo o encima del marco invisible.
El usuario hace clic en lo que cree que es un botón de "Jugar" o un enlace de "Reclamar premio". En realidad, hace clic en una página invisible cargada desde otro origen.
Dado que el ordenador y el navegador del usuario aún conservan las cookies del sitio web de destino, la acción se autentica y procesa de inmediato. El usuario no tiene ni idea de que acaba de realizar una acción de alto riesgo.
Este ataque explota la capacidad de la web para enmarcar contenido. Si bien el enmarcado es adecuado para incrustar mapas o vídeos, se vuelve peligroso cuando una página web no restringe explícitamente quién puede enmarcarla.
Sin un control adecuado, cualquier sitio web puede convertirse en víctima de una alteración de la interfaz de usuario.
Leer más: El verdadero coste de los errores de seguridad en WordPress
Proteja su sitio de WordPress antes de que los atacantes ataquen
Proteja su sitio web del clickjacking y otras amenazas con los servicios expertos de cuidado de sitios web de Seahawk.
¿Cómo funcionan los ataques de clickjacking utilizando iframes y superposiciones invisibles?
Para comprender plenamente el peligro, debemos analizar la ejecución técnica. El núcleo de un ataque de clickjacking se basa en la propiedad de opacidad del CSS.
Un atacante crea un sitio web señuelo. Este sitio sirve como cebo. En esta página, el atacante usa HTML para cargar la página web de la víctima dentro de un iframe.
El código puede parecer inocente, pero el CSS cuenta otra historia. El atacante establece la opacidad del iframe en 0.0. Esto crea un iframe invisible.
Aunque el contenido enmarcado técnicamente está ahí, el usuario no puede verlo. El atacante coloca esta capa invisible justo encima de un botón visible en su sitio señuelo.
Por ejemplo, imagina que un atacante quiere obligarte a eliminar tu blog. Carga la página "Eliminar cuenta" de tu blog en un iframe invisible. Coloca el botón "Eliminar" invisible justo encima del botón "Gana un regalo" visible en su sitio web malicioso.
Cuando el usuario hace clic en el botón "Gana un regalo", el evento de clic atraviesa los elementos visibles y llega a la ventana superior del marco invisible. El navegador lo interpreta como un clic legítimo en el botón "Eliminar". Dado que es probable que el usuario haya iniciado sesión en el mismo navegador, el comando se ejecuta instantáneamente sin que el usuario lo sepa.
Este método permite a los atacantes eludir los tokens CSRF (falsificación de solicitud entre sitios) en algunos casos, ya que el navegador envía la solicitud como si el usuario hubiera hecho clic físicamente en el botón en la página legítima.
Lectura adicional: Cómo utilizar la protección contra malware para salvaguardar eficazmente su sitio web
Tipos principales de ataques de clickjacking y variaciones comunes
Si bien la superposición básica es el método más común, existen varias variaciones de clickjacking diseñadas para explotar comportamientos específicos o vulnerabilidades del navegador.
Likejacking: Explotación de las interacciones en las redes sociales
El likejacking es una forma específica de clickjacking dirigida a sociales . El atacante busca manipular al usuario para que le dé "me gusta" o comparta una página sin su consentimiento.
En este escenario, el iframe invisible contiene un de Facebook o un de Twitter . El atacante coloca esta capa transparente sobre un vídeo o una imagen en una página maliciosa.
Cuando el usuario intenta reproducir el video, sin darse cuenta le da "me gusta" a la página del atacante. Esto aumenta la credibilidad social de los sitios maliciosos y facilita la propagación de spam o estafas a sus amigos.
Vulnerabilidades de clickjacking anidado y X-Frame-Options
El clickjacking anidado ataca a páginas web que intentan usar scripts de frame-bugging, pero no los implementan correctamente. Algunos navegadores antiguos o configuraciones específicas permiten a los atacantes bloquear estos scripts.
En esta variante, el atacante anida el iframe objetivo dentro de dos marcos diferentes. Al manipular la forma en que el navegador gestiona la ubicación y la navegación de la ventana, el atacante impide que el sitio legítimo se evacue del marco.
Esto resalta por qué confiar únicamente en scripts del lado del cliente no es la mejor práctica; se requieren encabezados robustos del lado del servidor.
Lectura adicional: Cómo prevenir ataques de fuerza bruta contra sitios web de WordPress
CursorJacking, MouseJack y otras técnicas engañosas
CursorJacking es una variante altamente engañosa. En ella, el atacante reemplaza el cursor real del ratón con un cursor personalizado falso. Mediante CSS y JavaScript, el atacante separa el cursor real del falso.
El usuario percibe que su ratón se sitúa sobre un enlace seguro. Sin embargo, el cursor real (que puede ser invisible o estar desplazado) se sitúa sobre un elemento malicioso. Al hacer clic, la acción se produce en la ubicación real del cursor, no en la falsa visible.
De manera similar, otras técnicas implican mover rápidamente el marco invisible para rastrear el mouse (MouseJack), garantizando que el botón malicioso esté siempre debajo del cursor, independientemente de dónde lo mueva el usuario.
Más información: Parches virtuales en WordPress: cómo funcionan y por qué son importantes
¿Cómo detectar vulnerabilidades de clickjacking en tus páginas web?
Antes de poder prevenir el clickjacking, debe verificar si su sitio web es vulnerable. Afortunadamente, detectar esta vulnerabilidad es sencillo.
La comprobación principal consiste en verificar si su página web puede cargarse dentro de un iframe en un origen diferente. Puede hacerlo creando un archivo HTML simple en su equipo local:
<html> <body> <iframe src="https://yourwebsite.com" width="500" height="500"></iframe> </body> </html>
Abra este archivo en navegadores modernos, como Chrome o Firefox. Si su sitio web carga correctamente dentro del cuadro, es vulnerable al clickjacking.
Un sitio seguro debería negarse a conectarse o mostrar un espacio en blanco, lo que indica que el navegador bloqueó el contenido enmarcado.
También puede usar escáneres de seguridad en línea o complementos de navegador diseñados para pruebas de penetración. Estas herramientas analizan el encabezado de respuesta HTTP de su sitio web.
Buscan específicamente la ausencia del encabezado X-Frame-Options o del encabezado Content Security Policy. Si estos encabezados faltan, la herramienta marcará su sitio como de alto riesgo.
Prevención del lado del servidor: uso de X-Frame-Options para restringir el encuadre
La defensa más tradicional y ampliamente utilizada contra el clickjacking es el encabezado X-Frame-Options (XFO). Este encabezado de respuesta, enviado por el servidor web, indica al navegador si una página puede renderizarse en un...<frame> ,<iframe> ,<embed> , o<object> .
Cuando un navegador carga una página, revisa este encabezado. Si se infringe la política, el navegador garantiza la seguridad del usuario al no mostrar el contenido.
Hay tres valores que se utilizan normalmente con el encabezado X-Frame-Options:
- DENEGAR: Esta es la configuración más estricta. Impide que cualquier dominio enmarque la página solicitada. Incluso si la página intenta enmarcarse a sí misma, fallará. Es ideal para páginas sensibles que nunca necesitan incrustarse.
- MISMO ORIGEN: Esto permite que la página se enmarque solo con páginas del mismo origen (mismo dominio, protocolo y puerto). Este es el método más común para proteger sitios de WordPress, ya que permite incrustar contenido propio y bloquear atacantes externos.
- ALLOW-FROM uri: Esta directiva está obsoleta y su propósito era permitir el enmarcado desde una URI específica. Sin embargo, no es compatible con muchos navegadores modernos y, en general, debería evitarse en favor de estándares más recientes.
Configurar X-Frame-Options como SAMEORIGIN suele ser suficiente para detener la gran mayoría de los ataques de clickjacking. Esto garantiza que un atacante no pueda cargar tu página de inicio de sesión en su sitio web falso.
Sin embargo, XFO tiene limitaciones. Solo permite un dominio (el mismo dominio) o ninguno. Carece de granularidad si necesita habilitar múltiples socios específicos para enmarcar su contenido. Para ello, necesitamos una solución más moderna.
Explorar más: Cómo crear una página protegida con contraseña en WordPress
Protección avanzada: Política de seguridad de contenido (CSP) y ancestros de marcos
Si bien X-Frame-Options es eficaz, la Política de Seguridad de Contenido (CSP) es el futuro de la defensa contra el clickjacking. CSP es una capa de seguridad que ayuda a detectar y mitigar diversos tipos de ataques, como el Cross-Site Scripting (XSS) y la inyección de datos.
Para prevenir el clickjacking, utilizamos la directiva frame-ancestors. Esta directiva especifica los padres que pueden incrustar una página.
Implementación de la Directiva Frame-Ancestors para el control granular
La directiva frame-ancestors ofrece mucha más flexibilidad que X-Frame-Options. Permite definir una lista de dominios que pueden enmarcar el contenido.
Por ejemplo, un encabezado CSP de Política de seguridad de contenido podría verse así:
Política de seguridad de contenido: frame-ancestors 'self' https://trusted-partner.com;
En este ejemplo:
- 'self' actúa como la directiva XFO SAMEORIGIN, permitiendo que el mismo dominio enmarque el contenido.
- https://trusted-partner.com permite que un sitio externo específico enmarque el contenido.
También puede usar comodines o permitir todos HTTPS mediante "permitir desde https", aunque el listado estricto es más seguro. Este control granular es vital para los sitios web empresariales que dependen de integraciones entre sitios.
¿Por qué los ancestros de cuadros de CSP son superiores a los scripts que destruyen cuadros?
Anteriormente, los desarrolladores usaban JavaScript para romper marcos. Estos scripts se ejecutaban en el lado del cliente y verificaban si la ubicación de la ventana superior coincidía con la ubicación actual. De lo contrario, intentaban romper el marco.
Los atacantes encontraron rápidamente maneras de neutralizar estos scripts. Navegadores como Internet Explorer (en versiones anteriores) o funciones como el atributo sandbox de HTML5 en iframes podían bloquear la ejecución del script que descifraba los marcos, inutilizando la defensa.
Los ancestros de marcos y las opciones de marcos X son controles del lado del servidor. El atacante no puede deshabilitarlos porque el navegador aplica la regla antes de mostrar el contenido. El navegador lee el encabezado de respuesta y simplemente se niega a mostrar el elemento de página malicioso.
El uso de ancestros de marcos CSP es la mejor práctica actualmente, ya que está estandarizado en los navegadores modernos. Si bien X-Frame-Options sigue siendo útil para navegadores antiguos, los ancestros de marcos tienen prioridad en los navegadores compatibles con ambos.
Paso a paso: Cómo proteger su sitio de WordPress contra el clickjacking
Para proteger un sitio de WordPress, es necesario agregar los encabezados correctos. No es necesario ser desarrollador para implementar estos cambios, pero se recomienda realizar siempre una copia de seguridad del sitio antes de editar los archivos del servidor.
Paso 1: Configurar encabezados en .htaccess o functions.php
Si su sitio de WordPress se ejecuta en un servidor web Apache, puede editar el archivo .htaccess que se encuentra en su directorio raíz.
Para implementar el encabezado X-Frame-Options, agregue esta línea:
<IfModule mod_headers.c>El encabezado siempre agrega X-Frame-Options SAMEORIGIN</IfModule>
Para implementar la Política de seguridad de contenido con antecesores de marco:
<IfModule mod_headers.c>El encabezado siempre agrega Content-Security-Policy "frame-ancestors 'self';"</IfModule>
Esta configuración garantiza que solo su sitio web pueda enmarcar sus páginas. Para permitir que un socio lo haga, simplemente añada su URL después de "self".
Como alternativa, puedes añadir encabezados a través del archivo functions.php de WordPress en tu tema activo. Este método funciona independientemente del tipo de servidor (Apache o Nginx), siempre que PHP gestione los encabezados.
función add_security_headers() { header('Opciones-X-Frame: SAMEORIGIN'); header("Política-de-Seguridad-de-Contenido: frame-ancestors 'self';"); } add_action('enviar_encabezados', 'add_security_headers');
Este código se conecta al de generación de encabezado de WordPress e inyecta las directivas de protección para cada página web servida.
Paso 2: Utilizar complementos de seguridad de WordPress para la defensa del lado del cliente
Si editar código te parece demasiado arriesgado, puedes usar plugins de seguridad de WordPress. Muchas suites de seguridad integrales añaden estos encabezados automáticamente.
- Seguridad todo en uno (AIOS): Este complemento cuenta con ajustes específicos para la protección de iframes. Puede habilitar la opción "Denegar consultas no válidas" y reglas de firewall específicas que suelen incluir la gestión de opciones de marcos.
- Headers Security Advanced & HSTS WP: Este plugin especializado le permite configurar encabezados HTTP específicos sin necesidad de modificar el código. Puede seleccionar X-Frame-Options en un menú desplegable y establecerlo en SAMEORIGIN.
Si bien los complementos son convenientes, asegúrese de que configuren correctamente el encabezado de respuesta.
Algunos complementos solo pueden agregar metaetiquetas, que son menos efectivas para los ancestros de marco (CSP mediante metaetiquetas no es compatible con ancestros de marco). Verifique siempre el resultado con un verificador de encabezados en línea.
Conclusión
La amenaza del clickjacking es persistente porque explota la percepción visual del usuario en lugar de ser un error de software. Mientras los navegadores admitan iframes, los atacantes intentarán corregir la interfaz de usuario.
Para el propietario de un sitio web, ignorar esta vulnerabilidad supone poner en riesgo la seguridad de sus usuarios y la reputación de su sitio. Un usuario que descargue malware o pierda dinero por usar un botón en su sitio perderá la confianza en su marca.
La solución es una defensa en capas.
- Auditoría: Escanee periódicamente sus páginas web para ver si se pueden enmarcar.
- Implementar XFO: utilice el encabezado X-Frame-Options establecido en SAMEORIGIN para proteger a los usuarios en navegadores heredados y otros navegadores que pueden no ser totalmente compatibles con CSP.
- Implementar CSP: Adoptar la directiva frame-ancestors de la Política de seguridad de contenido para lograr un control sólido y granular en los navegadores modernos.
- Monitor: use complementos de seguridad para garantizar que los encabezados permanezcan activos después de las actualizaciones del tema o del servidor.
Al controlar la estructura de tu contenido, desmantelas eficazmente las capas invisibles de las que se valen los hackers. Te aseguras de que, al hacer clic, un usuario realice las acciones que desea, lo que lo protege de ser víctima de uno de los ataques más engañosos de la web.
Preguntas frecuentes sobre ataques de clickjacking
¿Cuál es el método más común utilizado en un ataque de clickjacking?
El método más común consiste en colocar capas ocultas sobre una página web legítima. Un atacante crea iframes invisibles que engañan a los usuarios para que hagan clic en elementos que no pueden ver. Estas capas ocultas permiten a los atacantes activar acciones sin que el usuario se dé cuenta, lo que podría facilitar su acceso a funciones sensibles.
¿Cómo ayudan las opciones de X Frame del mismo origen a prevenir el clickjacking?
X-Frame-Options del mismo origen es un encabezado de respuesta que permite enmarcar una página solo con páginas del mismo origen. Esto evita que dominios externos incrusten su sitio en frames maliciosos y ayuda a bloquear interacciones no autorizadas.
¿Qué es la política de antecesores de marco en la Política de seguridad de contenido?
La política de ancestros de marcos define qué dominios pueden incrustar sus páginas web. Forma parte de la Política de Seguridad de Contenido y ofrece mayor control que los encabezados anteriores. Esta política es muy eficaz para prevenir ataques de clickjacking.
¿Pueden los ataques de clickjacking permitir a los atacantes obtener acceso a las cuentas de usuario?
Sí, el clickjacking puede ayudar a los atacantes a acceder a las cuentas indirectamente. Al camuflar botones y acciones, los atacantes pueden engañar a los usuarios para que cambien la configuración, aprueben permisos o envíen formularios sin su conocimiento.
¿Cuál es la mejor manera de prevenir el clickjacking en un sitio web de WordPress?
La forma más eficaz de evitar el clickjacking es emplear múltiples defensas. Configure el encabezado de respuesta X-Frame-Options, aplique una política frame-ancestors y mantenga activos los plugins de seguridad de WordPress. La combinación de estas medidas bloquea los ataques en su origen.
